La campaña utiliza correos con archivos adjuntos maliciosos y técnicas de evasión que dificultan su detección por sistemas tradicionales.
Kaspersky identificó una avanzada campaña de phishing dirigida a empleados usando correos electrónicos personalizados y archivos adjuntos disfrazados como actualizaciones de políticas de Recursos Humanos. Se trata de una escalada significativa en las tácticas de phishing, con atacantes que personalizan no solo el cuerpo del correo electrónico, sino también los archivos adjuntos, dirigiéndose a cada destinatario individualmente, lo que representa un riesgo real para las empresas. Lo anterior debido a que el 20% de los latinoamericanos admiten que no son capaces de reconocer un e-mail falso, según un reciente estudio de la empresa, y justamente, el objetivo de esta campaña es engañar a la víctima para que ingrese sus credenciales de correo corporativo.
Es probable que los atacantes se hayan preparado, analizando nombres de empleados para que la campaña fuera más dirigida y convincente. Los correos presentan un cuerpo engañoso: una insignia fraudulenta de "remitente verificado" para generar confianza, el nombre del destinatario, y una invitación a abrir el archivo adjunto para revisar protocolos de trabajo remoto, administración de beneficios y estándares de seguridad. Sin embargo, todo el cuerpo del mensaje es, en realidad, una imagen sin texto real; esto se hace para eludir los filtros de correo electrónico.
El cuerpo del correo electrónico fraudulento está compuesto por una imagen, no por texto.
El documento adjunto, que se hace pasar por una versión actualizada del “Manual del Empleado”, no contiene ninguna directriz real: solo incluye una portada, una tabla de contenido con los elementos que supuestamente han sido modificados resaltados en rojo, una página con un código QR (supuestamente para acceder al documento completo) y las instrucciones comunes sobre cómo leer códigos QR con un teléfono. El documento menciona varias veces el nombre de la víctima para hacerle creer que fue creado específicamente para ella.
El supuesto archivo adjunto “Manual del Empleado”
Si la víctima escanea el código QR y sigue el enlace, aterriza en una página fraudulenta donde se le solicita ingresar sus credenciales corporativas, que es justamente lo que buscan los atacantes.
“Esta campaña demuestra un nuevo nivel de profesionalismo en los ataques de phishing, y podríamos estar presenciando un nuevo mecanismo de automatización de correos que genera un documento adjunto y una imagen del cuerpo del correo por separado para cada destinatario. La táctica permite escalar el ataque y evadir las defensas tradicionales”, explica Andrea Fernández, gerente general para la región sur de América Latina en Kaspersky. “Las organizaciones deben priorizar medidas de seguridad avanzadas y la educación de los empleados para mantenerse al día sobre estas amenazas, especialmente en nuestra región.”
Para que las empresas eviten que sus empleados le abran la puerta de su red corporativa a los cibercriminales, los expertos de Kaspersky recomiendan:
- Promueve entre tus empleados la verificación consciente: enseña a identificar señales comunes de phishing (como texto en imagen, títulos inconsistentes o QR sospechosos) y pídeles que si consideran que una solicitud no es clara o les resulta sospechosa, pregunten directamente con el equipo de Recursos Humanos.
- Protege el correo corporativo: implementa soluciones de seguridad en el servidor de correo que detecten y bloqueen intentos de phishing mediante análisis en tiempo real y reputación de remitentes.
- Asegúrate de contar con protección integral en todos los dispositivos: garantiza que cada uno de los equipos conectados a la red cuente con software de protección robusto, actualizado y con capacidades antiphishing y antimalware.
- Fortalece la conciencia en ciberseguridad: el factor humano sigue siendo una de los principales eslabones al hablar de seguridad digital empresarial, por eso impulsa una cultura de prevención con entrenamientos automatizados. Herramientas como Kaspersky Automated Security Awareness Platform ofrecen formación continua y simulaciones de vulnerabilidades para desarrollar habilidades de ciberseguridad a los empleados.
Para más información sobre cómo proteger la seguridad empresarial, visita nuestro blog.
